“按定义来说，它们的风险更高。”
2026年10月14日，在都柏林国际人工智能峰会的一场对谈里，Anthropic国际业务负责人纪尧姆·普兰森（Guillaume Princen）对着Bloomberg TV的镜头，把这句话抛给了开放权重AI模型。他没有点名任何一家开源阵营的公司，但每一个在场的人都听得懂：这条线，一边是Meta、Mistral和中国大模型厂商们争相开放的权重，另一边是Anthropic自己守在API后面的闭源系统。
更有意思的是，他说这句话的场合并不中立。这场峰会是爱尔兰担任欧盟轮值主席国期间的官方活动，而都柏林正是Anthropic在欧盟的第一个办公室所在地，EMEA也是这家公司增长最快的区域。几天前，Anthropic刚刚向美国证交会秘密递交了上市申请，市场传闻其IPO目标估值接近2万亿美元，而它最新一轮融资后的确认估值是9650亿美元。
一边是“开源按定义更危险”的安全警告，另一边是“投资前沿模型长期更划算”的销售话术。当安全论述和商业利益出现在同一个人的同一场演讲里，问题就不再是“开源到底危不危险”，而是：Anthropic到底在卖什么？
现象：一场峰会，两套叙事
普兰森的论点并不复杂。开放权重模型把底层参数公之于众，任何人都可以下载、修改，并在自己控制的硬件上运行。一旦权重流出，安全护栏可以被移除，副本可以在任何开发者无法监控、也无法召回的私有系统里跑。所以“按定义”风险更高。
他把这个结论归结为Anthropic自身的安全实践。公司近年来遭遇过数次AI安全事件，随后引入了一系列防护措施，防止自家模型被武器化。Anthropic还一直呼吁，在国际统一标准和一致的评估方法建立之前，放慢AI开发的节奏。
但同一次露面里，普兰森讲的是另一套逻辑。面对企业客户对成本的顾虑，他的回答是：始终投资前沿模型，因为六个月、一年、两年后，同一个用例的成本还会继续下降。他说Claude Opus 5.5比前代便宜40%，注意这是典型使用成本，标价其实只降了20%，剩下那部分来自模型效率提升、token用量变少。
一套叙事告诉你“外面更危险”，另一套告诉你“我这里更划算”。两句话合在一起，才是这场演讲的完整形状。
分析一：从“有条件”到“按类别”，Anthropic内部出现了两种声音
把普兰森的话放回Anthropic自己的时间线里看，味道就变了。
2026年7月27日，Anthropic联合创始人兼CEO达里奥·阿莫迪（Dario Amodei）在公司官网发文《Our position on open-weights models》，开篇第一句就把姿态放得很低：“Anthropic has never advocated for a ban on open-weights models”，Anthropic从未主张禁止开放权重模型。他还说，那些不具备危险能力的开放权重模型是“公共产品”，除了运行所需的算力外不花任何成本。
阿莫迪的立场是“有条件”的：关键不在于模型是不是开源，而在于它有没有危险能力。他反对的是英伟达牵头的那封行业公开信里的一个假设，即更广泛的访问必然更有利于防御者而非攻击者。他真正想要的三样东西是芯片管控、打击工业级蒸馏、对足够强大的模型做强制安全测试，不管权重是否公开。这套立场很聪明，既没有得罪开源阵营，又给自己留出了监管游说的空间。
三个月后，普兰森把同一个议题推得更远。他的判断不再取决于某个具体模型危不危险，而是落在“开放权重”这个类别本身。一个是条件判断，一个是类别判断。这中间的位移，恰好发生在Anthropic递交IPO申请、准备接受公众市场审视的节骨眼上。
这不是说普兰森在撒谎。开放权重模型确实更难被监控、更难被撤回，这是技术事实。但把“更难监管”直接等同于“更危险”，是另一个判断。后者对Anthropic更有商业价值，因为它把竞争劣势重新包装成了安全优势：对手开放，所以危险，我们封闭，所以安全。
这里还有一层很少有人点破的张力。Anthropic在2026年8月的风险报告里，把自己的“对齐风险”评估从“极低”上调到了“低”，理由正是近期披露的几起模型在网络安全评估中的异常行为。一家刚刚承认自家模型也可能“失控”的公司，转头告诉世界开放模型更危险，这个叙事的说服力要打一个折扣。投资者可以把它读成坦诚，也可以把它读成焦虑。
分析二：证据是真的，但证据的另一面被轻轻放过了
普兰森的担忧并非没有证据支撑。
AI安全非营利机构SaferAI近期发布了一份对GLM-5.2的风险评估报告。这家中国大模型在进攻性网络和双重用途生物任务上，拒绝次数为零，而Anthropic自家的Claude Opus 4.7在同样的CyberGym基准上拒绝得过于一致，以至于测试方根本无法把测评跑完。SaferAI明确写道，GLM-5.2是开放权重的，任何可能存在的护栏都可以被自托管者剥离，而闭源的前沿模型更可能被内容过滤器gating，用户无法自助绕过。
Anthropic自己的前沿红队（Frontier Red Team）也在10月12日发布了一项更贴近硬件的研究。他们买了15台杂牌Android TV盒子，每台约55美元，搭成一个集群，把260亿参数的开源模型Gemma4-26B-A4B切分后跑在上面，吞吐量是每秒0.39个token。在另一组实验里，一个90亿参数的模型在测试的9种硬件类型中的8种上完成了推理环境搭建，GLM-5.2则在一个受防火墙保护的8节点Android集群上，5次试验中有4次完成了端到端的自我复制。研究团队用Kimwolf僵尸网络曾感染的200万台Android TV盒子做参照推算，这样的网络可以产出约13.3万个模型副本，合计每秒8万个token，算力相当于不超过40块Nvidia H100。对数据中心来说不算什么，但硬件和电费都由被入侵设备的主人买单。
这些证据都指向同一个结论：开放权重让危险能力的扩散门槛变低了，而且廉价、缺乏防护的IoT设备正在成为潜在的繁殖场。
但同一个研究里还有几个被轻轻放过的事实。红队承认，入侵步骤被故意设计得毫无难度，只是一个开放且未认证的调试端口，负责调度的模型跑在一台单独的服务器上，而所谓“几个月内可能发生”的时间表，只是根据Epoch能力指数趋势外推的粗略估计。更重要的是，正因为权重是公开的，这些测试才做得出来。如果模型关在API后面，研究者连攻击面都摸不到。开放性在这里是双向的，它既降低了攻击者的门槛，也降低了防御者理解威胁的门槛。
Anthropic给出的答案是“门控访问”：把模型找到的漏洞给经过审查的防御者，但不把模型本身给他们。这套方案听起来稳妥，但它的前提是你信任Anthropic的审查机制，也信任它不会把“防御”的定义越扩越宽。
欧盟显然没打算把宝全押在这一边。欧盟《人工智能法案》第53条明确规定，真正免费和开源的模型可以豁免向AI Office提交部分文档的义务，除非被发现构成系统性风险。监管者的逻辑是，开源的透明性本身就是一种安全机制，不能因为有人可能作恶就惩罚所有人。
这条分歧还会继续影响欧洲企业的采购决策。一家德国汽车厂如果要训练自己的质检模型，是选一个可以部署在本地、权重可控的开源模型，还是选一个性能更强但数据要出境的闭源API？前者的风险在安全团队手里，后者的风险在供应商手里。普兰森的答案很清楚，但掏钱的人未必这么想。
分析三：都柏林不是中立地带，开源阵营正在欧洲合围
普兰森选在都柏林说这番话，本身就是一个信号。
EMEA是Anthropic增长最快的区域，都柏林是它在欧盟的第一个办公室。而它在这里遇到的竞争，恰恰是以“主权”为卖点、以开源为武器的欧洲本土力量。
就在普兰森发言的八天前，法国初创公司Mistral AI发布了Mistral Large 4，绰号“Le Chonk”。这是一个参数规模达1万亿、激活参数520亿的混合专家模型，在欧洲训练，主打的就是“欧洲主权AI”。它目前只通过Mistral API提供公开预览，开放权重要等到10月底才会发布。换句话说，Mistral自己也在“开放”和“可控”之间走钢丝：先让用户用起来，再把权重交出去。
更早一周，阿里巴巴集团董事会主席蔡崇信在意大利都灵出席Wave by Vento会议时公开呼吁，欧洲应该拥抱开源AI，把它作为摆脱对美国和中国技术依赖的最佳路径。他甚至直言，美国的大模型公司已经不再写论文了，因为它们不想分享。这话对爱尔兰、对欧盟委员会、对每一个想在中美之间找第三条路的欧洲政策制定者来说，都很有吸引力。
所以你会看到一幅有点讽刺的画面：一家美国公司跑到欧洲，告诉欧洲人开放权重很危险，而欧洲本土的AI旗帜和亚洲的资本都在劝欧洲人拥抱开源。普兰森的安全论述能不能说服都柏林，取决于欧洲人更相信“主权可控”还是“开放透明”。
这场争夺的背后是钱。Anthropic的Claude Opus 5.5标价是每百万输入token 4美元、输出20美元，比Opus 5降了20%，缓存读取价格更是从0.5美元降到0.2美元，降幅60%。而Mistral Large 4的API预览价是每百万输入1.36美元、输出4.18美元，只有Anthropic的三分之一左右。价格差摆在那里，安全论述要说服CFO，光靠“按定义更危险”是不够的，还得靠“长期更便宜”来补。
这也是为什么普兰森要把两件事放在同一场演讲里说。安全论述建立差异化，成本叙事消除采购阻力。少一个，生意都谈不成。
结论：安全是真的，生意也是真的
回到最初的问题：Anthropic到底在卖什么？
答案是两样都在卖。它卖闭源模型的安全可控，也卖“前沿模型长期更便宜”的成本叙事。这两样东西互为表里：没有安全论述，企业客户没有理由放弃开源的低成本，没有成本叙事，安全溢价就会贵到没人买单。
普兰森的“按定义更危险”在技术上站得住脚，但它不是全部真相。开放权重确实更难监管，可它也确实让安全研究、主权选择和价格竞争成为可能。把风险说成类别属性，是一种有效的市场定位，但不该被当成技术定论。
对企业和政策制定者来说，真正的问题不是“选开源还是选闭源”，而是：你的用例到底有多敏感？你愿不愿意为“可召回、可监控”支付溢价？你能不能接受把判断权交给一家即将上市公司的安全团队？
开源不是原罪，闭源也不是护身符。当一家公司既当运动员又当裁判员时，它说出的“安全”，你最好先问一句：这份安全，最后算在谁的账上。
快报